～現在マイクロソフトから修正パッチは提供されていない

「shlwapi.dll」が原因で簡単なWebサイトでDoS攻撃を受ける可能性のある脆弱性

■URL
http://www.secunia.com/advisories/8642/

再現した際のエラー画面。「shlwapi.dll」が関係していることがわかる（クリックで拡大）

　セキュリティ関連会社のSecuniaは、Internet ExplorerやOutlook ExpressにDoS（サービス拒否）攻撃を受ける可能性のある脆弱性があると発表した。

　この脆弱性は、「Microsoft Shell Light-Weight Utility Library(shlwapi.dll)」のバグにより発生する。また、悪意のある攻撃者が特別なHTMLファイルを作成した場合、「shlwapi.dll」を利用したアプリケーションをクラッシュさせることもできるという。

　対象となるOSは、Secuniaの発表ではWindows XP Home Edition/Professional、IE 5.01/5.5/6.0とされているが、編集部では「Windows 2000+IE 6.0SP1」や「Windows Me+IE 6.0」などの組み合わせでも再現されているので、注意が必要だ。

　また、IEとアプリケーション連携を行なっている「Windows Explorer」や「Outlook」、「Outlook Express」、「Frontpage」なども影響を受けるとしている。

　解決策としては、現在のところマイクロソフトから修正パッチは提供されていないため、根本的な解決は難しい。Secuniaでは、「信頼されていないWebサイトを見ない」や「必要な場合には、IE以外のWebブラウザー（NetscapeやOperaなど）を使用する」などを推奨している。

(2003/4/25)

[Reported by otsu-j@impress.co.jp]